आरएफआईडी होटल कुंजी कार्ड और उनके द्वारा भेजे जाने वाले कुंजी पैकेट कितने सुरक्षित हैं?

 

कुंजी पैकेट, कुंजी कार्ड धारक, या कुंजी लिफाफा - आप वास्तव में क्या खरीद रहे हैं?

 

यह शब्द थोड़ा अतिभारित है, कुछ भी निर्दिष्ट करने से पहले इसे स्पष्ट कर लेना चाहिए। आतिथ्य आपूर्ति में, एक कुंजी पैकेट (जिसे कुंजी कार्ड लिफाफा, कुंजी कार्ड आस्तीन, या कुंजी कार्ड फ़ोल्डर भी कहा जाता है) मुद्रित कागज या कार्ड स्टॉक धारक होता है, जिसमें कमरे की कुंजी चेक के समय स्लाइड की जाती है। यह कार्ड को झुकने और विचुंबकीय होने से बचाता है, फ्रंट डेस्क को कमरे का नंबर लिखने के लिए जगह देता है, और संपत्ति की ब्रांडिंग करता है। अपने आप में इसका कोई इलेक्ट्रॉनिक कार्य नहीं है।

 

दो असंबंधित उत्पाद समान नामकरण साझा करते हैं और कभी-कभी समान खोज परिणामों में दिखाई देते हैं: रियल एस्टेट निरीक्षण में उपयोग किए जाने वाले भौतिक कुंजी सेट (कभी-कभी "इंस्पेक्टर कुंजी पैकेट"), और ब्लिस्टर {{1} पैक फार्मास्युटिकल पैकेजिंग, कुंजी {{2} पाक जैसे नामों के तहत बेची जाती है। यदि आपूर्तिकर्ताओं की शॉर्टलिस्ट में इनमें से कोई भी शामिल है, तो वे पूरी तरह से एक अलग समस्या का समाधान कर रहे हैं, जो जल्दी चिह्नित करने लायक है ताकि बल्क कुंजी कार्ड लिफाफा आरएफपी में गड़बड़ी न हो।

 

इसके बाद आने वाली हर चीज़ से हमारा तात्पर्य आतिथ्य संस्करण से है: कागज़ की आस्तीन, और, अधिक महत्वपूर्ण बात, आरएफआईडी या चुंबकीय {{0}धारी कार्ड जो इसके अंदर जाता है।

 

दो निर्णय जो वास्तव में सुरक्षा निर्धारित करते हैं: चिप ग्रेड और लॉक संगतता

 

एक बार जब पैकेट सुरक्षा कारक के रूप में टेबल से बाहर हो जाता है, तो खरीदारी दो चर पर आ जाती है: कार्ड के अंदर कौन सी चिप है, और क्या उस चिप की एन्कोडिंग आपके लॉक प्लेटफ़ॉर्म से मेल खाती है। सफ़लोक, ओनिटी, डोरमाकाबा और इसी तरह की प्रणालियाँ कार्ड पर थोड़ी भिन्न डेटा संरचनाओं की अपेक्षा करती हैं।

 

 

स्पेक शीट पर यह मामूली लगता है। यहीं पर यह एक संपत्ति के लिए तुच्छ होना बंद हो गया। 500 कार्डों का एक बैच दक्षिण पूर्व एशियाई रिज़ॉर्ट श्रृंखला की ओर जा रहा था, जो हमारे बेंच पर डेमो रीडर पर पूरी तरह से पढ़ा गया: हरी बत्ती, वैध रीड, हर कार्ड। साइट पर, प्रत्येक कार्ड ने दरवाजे पर "अमान्य कार्ड" फेंक दिया। दो दिनों के दूरस्थ निदान से पता चला कि लॉक निर्माता द्वारा लगभग तीन महीने पहले किए गए फर्मवेयर अपडेट से सेक्टर चेकसम को मान्य करने का तरीका बदल गया था; हमें जो एन्कोडिंग प्रोफ़ाइल दी गई थी वह उससे पहले की थी। कार्ड का स्टॉक और छपाई त्रुटिहीन थी। दरवाजे फिर भी नहीं खुले. "बेंच पर पढ़ता है" और "दरवाजा खोलता है" के बीच का अंतर बिल्कुल वही है जहां एंटी-क्लोन होटल कुंजी कार्ड ऑर्डर चुपचाप गलत हो जाते हैं।

 

स्थायित्व एक ऐसी ही कहानी बताता है, और आपको इसे विश्वास पर लेने की ज़रूरत नहीं है; यह पुनः क्रमित चक्र में दिखाई देता है। मोटे तौर पर उद्योग के बेंचमार्क के रूप में, मैग्नेटिक - स्ट्राइप कार्ड को आम तौर पर भारी अतिथि ट्रैफ़िक के 6-12 महीनों के भीतर बदलने की आवश्यकता होती है, जबकि उचित रूप से एन्कोड किए गए आरएफआईडी कार्ड आमतौर पर उसी लोड के तहत 2-3 साल तक चलते हैं। प्रति कार्ड मूल्य जिसे तीन बार बार-बार दोहराना पड़ता है, सस्ता नहीं है; यह एक इकाई लागत पोशाक पहनकर नकदी प्रवाह का निर्णय है।

 

फ़ील्ड में होटल कुंजी कार्ड कैसे क्लोन किए जाते हैं

 

यह तंत्र को समझने लायक है, क्योंकि "आरएफआईडी कार्ड का क्लोन बनाया जा सकता है" को इसके बिना एक सपाट तथ्य के रूप में बताया गया हैक्यों, और यहक्योंयह आपको बताता है कि कौन से कार्ड वास्तव में खतरे में हैं।

 

सबसे पुराना और सबसे व्यापक मुद्दा MIFARE क्लासिक के क्रिप्टो-1 सिफर से जुड़ा है, जिसे रैडबौड विश्वविद्यालय के अकादमिक शोधकर्ताओं ने 2008 में रिवर्स-इंजीनियर किया था (IACR ईप्रिंट पुरालेख). उस चिप परिवार के कार्ड एक ऐसी योजना के साथ प्रमाणित होते हैं जो एक दशक से अधिक समय से सार्वजनिक रूप से टूटी हुई है, फिर भी, क्योंकि बहुत सारे स्थापित हार्डवेयर इस पर निर्भर करते हैं, यह अभी भी उन संपत्तियों में प्रचलन में है जो कभी अपग्रेड नहीं हुए हैं।

 

2024 में एक नया और अजीब मामला सामने आया: विशेष रूप से पुराने क्लोनिंग अंतराल को बंद करने के लिए जारी की गई एक चिप (FM11RF08S) अपने स्वयं के हार्डवेयर स्तर की खामी को ले जाने के लिए निकली, जिससे एक हमलावर को एक कार्ड तक कुछ मिनटों की भौतिक पहुंच के साथ संपत्ति के पूरे कस्टम कुंजी सेट को निकालने की सुविधा मिली (हैकर समाचार). मुख्य बात यह नहीं है कि "उस एक चिप से बचें।" यह है कि एक चिप का मार्केटिंग लेबल ("उन्नत," "एन्क्रिप्टेड," "अगली पीढ़ी") इसकी वास्तविक प्रमाणीकरण विधि की जाँच के लिए कोई विकल्प नहीं है। ऐसे कार्ड जो एक स्थिर कार्ड आईडी से अधिक कुछ पर निर्भर नहीं होते हैं, कार्ड और लॉक के बीच कोई क्रिप्टोग्राफ़िक विनिमय नहीं होता है, सस्ते कमोडिटी हार्डवेयर के साथ डुप्लिकेट करना सबसे आसान होता है, चाहे पैकेजिंग पर कुछ भी लिखा हो। यदि दरवाजे पर सरकना आपके खतरे के मॉडल का हिस्सा है, तो यह एक अलग विशिष्ट रेखा है। एक परिरक्षितआरएफआईडी-कार्ड स्लीव को ब्लॉक करनाअवरोधन को संबोधित करता है, क्लोनिंग को नहीं, और दोनों लगातार भ्रमित होते रहते हैं।

 

एक सुरक्षित कार्ड निर्दिष्ट करना: AES, MIFARE Plus SL3, और पारस्परिक प्रमाणीकरण

 

एक बार चिप का परिदृश्य स्पष्ट हो जाने पर समाधान जटिल नहीं है, और इसका उस कुंजी पैकेट से कोई लेना-देना नहीं है जिसमें कार्ड भेजा जाता है। उद्योग केवल यूआईडी और क्रिप्टो-1 कार्ड से दूर पारस्परिक प्रमाणीकरण के साथ एईएस-128 एन्क्रिप्शन का उपयोग करने वाले चिप्स की ओर बढ़ रहा है: कार्ड और रीडर किसी भी एक्सेस डेटा के हाथ बदलने से पहले एक-दूसरे को सत्यापित करते हैं, बजाय इसके कि रीडर कार्ड द्वारा प्रस्तुत किसी भी आईडी पर भरोसा करता है।

 

चिप प्रकार	प्रमाणीकरण विधि	क्लोनिंग प्रतिरोध	आज का विशिष्ट उपयोग मामला
केवल यूआईडी/मूल निकटता	केवल स्टेटिक आईडी	बहुत कम	विरासत, चरणबद्ध तरीके से ख़त्म की जा रही है
मिफेयर क्लासिक (क्रिप्टो-1)	मालिकाना सिफर, 2008 से टूटा हुआ	कम	बड़ा स्थापित आधार, अपग्रेड उम्मीदवार
मिफेयर प्लस SL3	एईएस-128, आपसी प्रमाणीकरण	उच्च	अधिकांश संपत्तियों के लिए व्यावहारिक उन्नयन पथ
डेसफ़ायर ईवी-श्रृंखला	AES-128 / 3DES, पारस्परिक प्रमाणीकरण	उच्च	उच्च {{0}सुरक्षा या बहु{{1}एप्लिकेशन परिनियोजन

 

एईएस {{1} 128 को वर्तमान में पहुंच नियंत्रण उद्योग में मौजूदा उपभोक्ता या वाणिज्यिक हार्डवेयर के साथ जबरदस्ती करने के लिए कम्प्यूटेशनल रूप से अक्षम्य माना जाता है, यही कारण है कि एमआईएफएआरई प्लस एसएल3 सीधे पूर्ण डेसफायर पर जाने के बजाय क्लासिक आधारित बेड़े से स्थानांतरित होने वाली संपत्तियों के लिए व्यावहारिक मध्य मैदान बन गया है। लेकिन उस अनुशंसा में एक शर्त होती है जिसे अधिकांश आपूर्तिकर्ता आपकी ओर से नहीं उठाएंगे: SL3 केवल तभी मदद करता है जब आपके स्थापित ताले का फर्मवेयर वास्तव में उस सुरक्षा स्तर पर इसे पढ़ने का समर्थन करता है जिसके लिए आप भुगतान कर रहे हैं। इसकी पुष्टि करने का तरीका चिप डेटाशीट स्वीकार करना नहीं है; इसमें लॉक के लिखित फ़र्मवेयर संस्करण नंबर का अनुरोध करना और साइन ऑफ करने से पहले उस सटीक फ़र्मवेयर के विरुद्ध एक नमूना कार्ड का परीक्षण करना है। क्लासिक-स्तरीय रीड्स के लिए अभी भी कॉन्फ़िगर किए गए लॉक के विरुद्ध SL3 कार्ड ऑर्डर करना इन परियोजनाओं को रोकने का एक सामान्य तरीका है, और उस गलती को आसान बनाने के लिए क्षेत्र में अभी भी लीगेसी MIFARE हार्डवेयर का एक बहुत बड़ा स्थापित आधार मौजूद है। यहीं पर एक सुरक्षित होटल कुंजी कार्ड कार्यक्रम और एक मिलान भी हैआरएफआईडी कुंजी फ़ॉबक्रेडेंशियल एक ही विशिष्टता में हैं, इसलिए कर्मचारी और अतिथि पहुंच एक कमजोर फोब के साथ जोड़े गए मजबूत कार्ड के बजाय एक ही सत्यापित चिप स्तर पर चलते हैं।

 

तीन खरीद गलतियाँ जिनकी कीमत दोगुनी है

 

कुछ मुट्ठी भर पैटर्न अक्सर दिखाई देते हैंहोटल कुंजी कार्ड आदेशवे सीधे नाम देने लायक हैं, क्योंकि प्रत्येक का पता कार्ड भेजने के बाद ही चलता है।

यहां मौखिक आश्वासन स्वीकार न करें. पीओ जारी करने से पहले अपने विशिष्ट लॉक मॉडल के विरुद्ध लिखित रूप में सटीक चिप भाग संख्या और एक दस्तावेज़ीकृत फर्मवेयर संगतता परीक्षण परिणाम मांगें। दूसरा, उत्पादन से पहले पुष्टि की गई विशिष्टताओं के बजाय लॉक प्लेटफ़ॉर्म संगतता को आपूर्तिकर्ता की समस्या के रूप में हल करना है। बिल्कुल इसी तरह से एक बैच सही ढंग से मुद्रित हो जाता है और एक भी दरवाजा खोलने में असमर्थ हो जाता है। तीसरा यह मान रहा है कि मोबाइल या फ़ोन आधारित कुंजी स्वचालित रूप से भौतिक कार्ड की तुलना में अधिक सुरक्षित है; अधिकांश मौजूदा तैनाती में फोन समान अंतर्निहित चिप क्रेडेंशियल का अनुकरण कर रहा है, इसलिए एक कमजोर चिप मानक सिर्फ इसलिए मजबूत नहीं होता है क्योंकि इसे स्क्रीन पर प्रक्षेपित किया जाता है।

 

यहां बताया गया है कि "जहाज भेजने के बाद खोजा गया" वास्तव में महंगा हिस्सा क्यों है। 5,000- कार्ड चलाने पर, अनुमोदन पर नमूने लिए गए पहले कुछ सौ कार्ड ठीक पढ़ते हैं; जब तक प्रॉपर्टी एन्कोडिंग और वॉल्यूम पर जारी नहीं हो जाती, तब तक विफलताएं सामने नहीं आतीं, जब सीमांत एन्कोडिंग या एंटीना ट्यूनिंग समस्या पूरे बैच में दोहराई जाती है, तो पढ़ने की विफलता दर 3,000वें कार्ड के बाद कहीं चढ़ना शुरू हो सकती है। तब तक यह सुधार कोई पुनर्विन्यास नहीं है, यह एक पुन:निर्माण है। यह गुणक थोक कुंजी पैकेट ऑर्डर पर कम इकाई मूल्य के पीछे छिपा हुआ है।

 

कार्ड शिप होने से पहले हमारे प्रोडक्शन फ्लोर पर क्या होता है

 

यह वह हिस्सा है जिससे इस श्रेणी के अधिकांश आपूर्तिकर्ता बात नहीं कर सकते, क्योंकि उनमें से अधिकांश किसी और द्वारा एन्कोड किए गए कार्ड को दोबारा बेचते हैं। चिप बॉन्डिंग और एन्कोडिंग दो चरण हैं जहां संगतता समस्याएं सबसे अधिक बार उत्पन्न होती हैं, और वितरक को आम तौर पर इन दो चरणों की कोई जानकारी नहीं होती है।

 

 

हम दोनों को घर में चलाते हैं। इसका मतलब है बार-बार आने वाले ग्राहकों के लिए प्रति वर्ष दो मिलियन कार्डों की सीमा में आवर्ती आतिथ्य आदेशों को संभालना, साथ ही लंबे समय से चल रहे मनोरंजन पार्क भुगतान एकीकरण के लिए भी समान मात्रा। वे पुन: क्रमबद्ध पैटर्न हैं जो केवल तभी कायम रहते हैं जब एन्कोडिंग और पढ़ने की विश्वसनीयता केवल स्वीकृत नमूने पर ही नहीं, बल्कि बैच दर बैच लगातार बनी रहती है। फर्श से निकलने वाला प्रत्येक कार्ड पैकिंग से पहले 100% आउटपुट परीक्षण से गुजरता है, जो वह कदम है जो एन्कोडिंग बेमेल को बाद के बजाय फ्रंट डेस्क समस्या बनने से पहले पकड़ लेता है।

 

अनुकूलता प्राप्त करना-आदेश देने से पहले जांचा गया नमूना

 

किसी स्पेक शीट और वास्तव में आपके दरवाजे खोलने वाली चीज़ के बीच के अंतर को पाटने का सबसे तेज़ तरीका यह है कि दौड़ने से पहले इसका परीक्षण कर लिया जाए। अपना वर्तमान लॉक प्लेटफ़ॉर्म (सफ़लोक, ओनिटी, डोरमाकाबा, या कोई अन्य सिस्टम) और रफ वॉल्यूम साझा करें, और हम एक नमूना भेज सकते हैंआरएफआईडी कुंजी कार्डआपके मौजूदा हार्डवेयर से मेल खाने के लिए एन्कोड किया गया है, इसलिए पूर्ण ऑर्डर शिप करने से पहले संगतता का उत्तर दिया जाता है, बाद में नहीं। आप उस बातचीत को हमारे माध्यम से शुरू कर सकते हैंपूछताछ पृष्ठ.

 

अक्सर पूछे जाने वाले प्रश्न